CVE, CVSS e EPSS aparecem juntos com frequência, e isso as vezes cria a impressão de que são a mesma coisa medida de tres formas. Não são. Cada uma responde a uma pergunta diferente, e confundi-las leva a decisoes de priorização piores do que usar qualquer uma delas isoladamente com clareza.
CVE: um identificador, não uma medida
CVE (Common Vulnerabilities and Exposures) e um identificador público e único para uma vulnerabilidade conhecida — algo como um número de protocolo. Um CVE, por si só, não diz se a falha e grave, nem se ela sera explorada. Ele existe para que diferentes ferramentas, fabricantes e pesquisadores se refiram exatamente a mesma falha sem ambiguidade.
CVSS: gravidade técnica
O CVSS (Common Vulnerability Scoring System) atribui uma nota de 0 a 10 a gravidade técnica de uma vulnerabilidade, considerando fatores como a complexidade necessária para explora-la e o impacto potencial. O que o CVSS não mede:
- A probabilidade real de aquela vulnerabilidade ser explorada no seu ambiente.
- A criticidade do ativo específico onde ela foi encontrada.
- O contexto de exposição — se o ativo está acessivel pela Internet ou isolado internamente.
Uma nota alta de CVSS em um ativo isolado, sem dados sensiveis, pode representar menos risco pratico do que uma nota média em um ativo exposto e critico.
EPSS: probabilidade de exploracao
O EPSS (Exploit Prediction Scoring System), mantido pelo FIRST, estima a probabilidade de uma vulnerabilidade ser explorada nos próximos 30 dias, com base em dados observados de exploracao real. Enquanto o CVSS e relativamente estático após publicado, o EPSS muda conforme novos dados de exploracao chegam — uma vulnerabilidade pode ganhar relevancia meses depois de divulgada, se comecar a ser ativamente explorada.
Usando as tres metricas juntas
Uma abordagem prática de priorização combina as tres dimensões com o contexto do ativo:
- CVE identifica a falha de forma inequivoca.
- CVSS indica a gravidade técnica, caso explorada.
- EPSS indica a chance de isso acontecer no curto prazo.
- Criticidade do ativo (dado que nenhuma das metricas acima fornece) determina o impacto se a exploracao ocorrer.
Vulnerabilidades com CVSS alto, EPSS alto e presentes em ativos criticos formam o topo real da fila de correcao — e essa fila costuma ser mais curta e mais precisa do que uma lista ordenada apenas por CVSS.
Para o passo a passo de como montar esse critério dentro de um processo continuo, veja Como estruturar um programa de gestão de vulnerabilidades.
Perguntas frequentes
EPSS substitui o CVSS?
Não. CVSS descreve a gravidade técnica; EPSS estima a probabilidade de exploracao no curto prazo. são respostas a perguntas diferentes e costumam ser usadas juntas, não uma no lugar da outra.
Uma vulnerabilidade sem CVE conhecido pode ser grave?
Sim. O CVE identifica falhas ja catalogadas publicamente. Configuracoes inadequadas, permissoes excessivas e falhas de logica de negocio podem representar risco relevante sem ter um identificador CVE associado.